LDAP 정책

현재 Apigee Edge 문서가 표시되고 있습니다.
Apigee X 문서로 이동 정보

내용

LDAP 정책은 다음을 제공합니다.

• 인증: 요청에 제공된 사용자 인증 정보를 LDAP 제공업체의 사용자 인증 정보와 비교하여 검증합니다. LDAP 정책은 인증에 대한 유연성을 제공하므로 원하는 DN 값이 요청에 없는 경우에도 비밀번호와 함께 모든 DN 값을 사용할 수 있습니다. 예를 들어 인증에 이메일 / 비밀번호를 사용해야 한다고 가정해 보겠습니다. 가능한 옵션은 다음과 같습니다.
  • 이메일이 요청에 있는 경우 LDAP 인증을 위한 비밀번호와 함께 사용하면 됩니다.
  • 이메일이 요청에 없고 다른 DN 속성 (예: 전화번호)이 있다면 전화번호를 사용하여 LDAP에서 해당 이메일을 가져온 다음 이메일/비밀번호를 사용하여 인증할 수 있습니다.
• 고유 이름(DN) 검색: 인증 외에도 LDAP 정책을 사용하여 요청의 사용자 속성(예: 이메일)을 식별하고 해당 사용자에 대해 LDAP에서 다른 DN 속성을 검색하는 쿼리를 수행할 수 있습니다. 검색된 DN은 변수에 저장됩니다.

보호되는 리소스에 대한 액세스를 LDAP 제공업체의 사용자(예: 관리자, 조직 사용자, 개발자)로 제한해야 하는 경우 특히 OAuth 토큰 액세스가 불필요하거나 너무 무거운 경우에 LDAP 정책을 사용하세요. 또한 이 정책은 API 프록시 흐름에서 사용할 도메인 이름 메타데이터를 검색하도록 설계되었습니다.

예를 들어 사용자가 LDAP에 대해 성공적으로 인증된 경우에만 API 호출을 실행하고, 인증이 성공한 후에 사용자의 DN (도메인 이름) 속성을 선택적으로 검색할 수 있습니다.

자세한 내용은 다음을 참조하세요.

• API 관리를 위한 기본 LDAP 비밀번호 정책 관리
• Apigee 커뮤니티의 '비밀번호 정책에 대한 중요 정보'

샘플

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

요소 참조

다음은 LDAP 정책 요소 및 속성에 대한 설명입니다.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

사용법 참고사항

프라이빗 클라우드용 Apigee Edge를 사용하면 API 호출에 LDAP 제공업체를 활용할 수 있습니다. LDAP 정책을 사용하면 애플리케이션이 LDAP에 저장된 사용자에 대해 사용자 인증 정보를 인증할 수 있으며 LDAP에서 고유 이름 (DN)을 검색할 수 있습니다. 즉, 이메일, 주소, 전화번호 등 각 사용자와 연결된 메타데이터 또는 속성을 검색할 수 있습니다. 반환된 DN은 API 프록시에서 추가로 사용할 수 있도록 변수에 저장됩니다.

LDAP 리소스 만들기

LDAP 정책은 Apigee Edge에서 만든 LDAP 리소스를 활용합니다. LDAP 리소스는 LDAP 저장소에 연결 정보를 제공합니다.

LDAP 리소스를 만들고 관리하려면 다음 API 및 페이로드를 사용합니다.

API

LDAP 리소스 만들기 (POST) 또는 모든 LDAP 리소스 목록 (GET)을 만듭니다.

/v1/organizations/org_name/environments/environment/ldapresources

LDAP 리소스 (GET), 업데이트 (POST) 및 삭제 (DELETE)에 대한 세부정보를 가져옵니다.

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

페이로드

다음은 사용 의견이 포함된 샘플 XML 페이로드입니다.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

curl 예: LDAP 리소스 만들기

다음 예에서는 ldap1이라는 LDAP 리소스를 만듭니다.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

응답 코드

다음은 정책이 성공 또는 실패 시 반환하는 HTML 응답 코드입니다.

• 성공: 200
• 실패: 401

프라이빗 클라우드용 Edge에서 커스텀 LDAP 제공업체 사용

커스텀 LDAP 제공업체 사용

프라이빗 클라우드용 Apigee Edge에는 LDAP 정책과 상호작용하도록 이미 구성된 LDAP 제공업체가 함께 제공됩니다. 하지만 커스텀 LDAP 제공업체를 사용하는 경우 제공업체가 LDAP 정책을 지원할 수 있도록 설정해야 합니다. 방법은 다음과 같습니다.

1. LDAP 제공자 클래스에서 ExternalLdapConProvider 인터페이스를 구현합니다.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. 정책 구성의 <LdapConnectorClass> (다음 섹션)에서 커스텀 LDAP 제공업체의 정규화된 클래스 이름을 추가합니다.
3. custom-ldap.jar_.zip 파일을 다운로드합니다. (마우스 오른쪽 버튼을 클릭하고 다른 이름으로 저장을 선택해야 할 수도 있습니다.)
4. 압축을 풉니다.
5. 환경에 custom-ldap.jar 파일을 추가하고 클래스 경로에 있는지 확인합니다.
6. LDAP 제공업체에 대한 환경 리소스를 만듭니다. LDAP 정책의 <LdapResource> 요소에서 환경 리소스 이름을 사용합니다.

Java용 UnboundID LDAP SDK 사용

UnboundID LDAP SDK를 LDAP 정책과 함께 사용할 수 있지만 먼저 버전 2.3.1을 다운로드하여 메시지 프로세서의 클래스 경로에 추가해야 합니다.

UnboundID LDAP SDK를 LDAP 정책과 함께 사용하려면 다음 안내를 따르세요.

1. 브라우저를 열고 UnboundID LDAP SDK의 Sourceforge 파일 저장소로 이동합니다.

   https://sourceforge.net/projects/ldap-sdk/files/

2. SDK 버전 2.3.1 (SE 또는 표준 버전)을 찾아 해당 버전의 ZIP 파일을 다운로드합니다. 예: 'unboundid-ldapsdk-2.3.1-se.zip'
3. 다음 예에 표시된 것처럼 SDK ZIP 파일에서 JAR 파일을 추출합니다.

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   이 명령어는 JAR 파일만 ~/tmp 디렉터리에 추출합니다. 이 메서드는 선택사항이지만 -j가 포함된 디렉터리 구조를 삭제합니다.

4. 각 메시지 프로세서 노드에서:
   1. JAR 파일을 메시지 프로세서의 /opt/apigee/edge-gateway/lib/thirdparty 디렉터리에 복사합니다.
   2. 필요한 경우 메시지 프로세서가 액세스할 수 있도록 Apigee 사용자에게 JAR 파일에 대한 권한을 부여합니다.

   Edge는 /opt/apigee/edge-gateway/lib/thirdparty 디렉터리의 모든 서드 파티 라이브러리를 클래스 경로에 추가합니다.

   3. 메시지 프로세서를 다시 시작합니다.

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

흐름 변수

다음은 SearchQuery에 의해 채워진 LDAP 정책 변수입니다.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

오류 코드

에지 정책에서 반환되는 오류는 오류 코드 참조에 설명된 일관된 형식을 따릅니다.

이 정책은 다음 오류 코드를 사용합니다.